Tetapkan Proses Pencabutan Akses
Deskripsi
Tetapkan dan ikuti proses, sebaiknya otomatis, untuk mencabut akses ke aset perusahaan, melalui penonaktifan akun daripada penghapusan, saat karyawan berhenti, hak kedaluwarsa, atau perubahan peran yang tidak lagi memerlukan akses. Menonaktifkan akun, bukan menghapus, mungkin diperlukan untuk melestarikan jejak audit.
Daftar Periksa Implementasi
Rekomendasi Alat
Platform tata kelola dan administrasi identitas dengan sertifikasi akses, manajemen siklus hidup, dan intelijen akses berbasis AI
SailPoint · Langganan per identitas
Manajemen identitas dan akses cloud dengan SSO, MFA, akses bersyarat, dan tata kelola identitas
Microsoft · Langganan per pengguna (P1/P2)
Platform identitas cloud yang menyediakan SSO, MFA adaptif, manajemen siklus hidup, dan manajemen akses API
Okta · Langganan per pengguna
Ancaman & Kerentanan (CIS RAM)
Skenario Ancaman
Karyawan yang Diberhentikan Mempertahankan Akses Sistem
ConfidentialityKaryawan yang diberhentikan mempertahankan akses ke sistem perusahaan selama berhari-hari atau berminggu-minggu setelah kepergian karena tidak ada proses pencabutan, memungkinkan pencurian data atau sabotase sebagai pembalasan.
Akses Kontraktor Tetap Ada Setelah Keterlibatan Berakhir
ConfidentialityAkun kontraktor pihak ketiga tetap aktif tanpa batas waktu setelah keterlibatan mereka berakhir karena tidak ada proses pencabutan yang memicu pencabutan penyediaan saat hubungan bisnis berakhir.
Akumulasi Hak Istimewa Tanpa Pencabutan pada Perubahan Peran
IntegrityPengguna yang berganti departemen atau peran mempertahankan akses sebelumnya selain izin peran baru, secara bertahap mengumpulkan hak istimewa berlebihan di seluruh perusahaan.
Kerentanan (Saat Pengamanan Tidak Ada)
Tidak Ada Proses Pencabutan Akses Formal
Tanpa proses yang ditetapkan untuk mencabut akses saat pemberhentian atau perubahan peran, akun tetap aktif dan memiliki hak istimewa lama setelah otorisasi pengguna berakhir.
Tidak Ada Integrasi Antara HR dan TI untuk Pencabutan Penyediaan
Tanpa tautan otomatis atau prosedural antara peristiwa pemberhentian HR dan pencabutan penyediaan akun TI, tidak ada pemicu untuk menonaktifkan akun saat pengguna meninggalkan organisasi.
Persyaratan Bukti
| Jenis | Item Bukti | Frekuensi Pengumpulan |
|---|---|---|
| Teknis | Dasbor SIEM yang menunjukkan sumber log dan status pengumpulan | Diambil setiap bulan |
| Catatan | Catatan peninjauan log dan temuan | Setiap siklus peninjauan |
| Dokumen | Dokumen kebijakan yang mengatur (terkini, disetujui, dikomunikasikan) | Ditinjau setiap tahun |